Verificação da idade nas carteiras digitais da UE: quer ligar à Google ou Apple? Desenvolvedores enchem o GitHub com críticas a um pesadelo de privacidade

O mecanismo de verificação de idade das carteiras de identidade digital da União Europeia pretende ser ligado à Google Play Integrity e à Apple App Attestation; a discussão oficial no GitHub recebeu quase 300 mensagens de oposição, e os programadores criticaram duramente que esta medida viola o princípio de interoperabilidade definido pela própria especificação.
(Contexto: aviso firme da UE a Maçã: se não abrir o sistema iOS, a multa poderá chegar a 20% da receita global)
(Nota de contexto: a Europa lançou em conjunto uma plataforma digital de rastreio para a prevenção de epidemias, mas há notícias de que foi retirado silenciosamente o “protocolo descentralizado” DP3T)

Índice do artigo

Toggle

• O que está em causa: soberania e padrões abertos falham em conjunto
• Investigador de segurança quebra PIN da app em 2 minutos
• Cada país segue o seu caminho: Holanda e Itália aceitam tudo, a Suíça diz que não

A especificação de verificação de idade da carteira de identidade digital (EU Digital Identity Wallet) promovida pela UE pretende integrar todo o processo de validação da autenticidade da app e do dispositivo na Google Play Integrity API e na Apple App Attestation. Assim que a notícia foi divulgada, a discussão no GitHub oficial foi instantaneamente inundada, e a comunidade de programadores praticamente a uma só voz disse “não”.

Esta discussão, intitulada “Do not add Google Play Integrity integration”, foi iniciada pelo programador TheLastProject. O pedido central da maioria das mensagens é simples: a verificação de idade não deve ficar “presa” aos serviços exclusivos de duas gigantes tecnológicas americanas.

O que está em causa: soberania e padrões abertos falham em conjunto

O primeiro ponto de ataque dos opositores é a app de identidade holandesa “Yivi” (anteriormente IRMA). Esta app já consegue realizar a verificação de idade sem depender de todo dos serviços da Google e, inclusive, pode ser publicada na loja de código aberto F-Droid, demonstrando diretamente que a integração com a Play Integrity não é uma condição necessária do ponto de vista técnico.

O segundo ponto de ataque é que a especificação se contradiz. A especificação da carteira de identidade digital da UE define três princípios. Ao impor a ligação aos serviços privados de Google e Apple, viola simultaneamente duas das suas próprias exigências: “interoperabilidade” e “padrões abertos”. Os programadores questionam como é que uma especificação oficial que se apresenta como aberta acabaria por reconhecer apenas duas empresas americanas.

O terceiro ponto de ataque é a soberania digital. Muitas mensagens sublinham que os serviços governamentais não deveriam depender de serviços externos de terceiros; quanto mais camadas de dependência, maior o conjunto de potenciais riscos de cibersegurança. E, se a Google ou a Apple alterarem políticas, retirarem serviços ou ocorrerem vulnerabilidades sistémicas, os mecanismos de validação de identidade dos governos dos vários países serão forçados a parar em cadeia.

A organização sem fins lucrativos holandesa Waag Futurelab também entrou na batalha. Num artigo intitulado “European digital ID wallets are a gift to Google and Apple”, afirma de forma direta que estas carteiras dependem da Google Play Integrity API e dos mecanismos de autenticação de dispositivos da Apple, o que equivale a transformar o governo em executor das políticas de uma plataforma de uma empresa privada. A Waag ainda aponta que o design da Google Play Integrity API pode colidir com a Lei dos Mercados Digitais (DMA) da UE, criada para impedir a monopolização por grandes empresas.

Investigador de segurança quebra PIN da app em 2 minutos

O modelo de ameaça também foi analisado. Uma mensagem perguntou diretamente: para evitar que pessoas mal-intencionadas invadam remotamente o dispositivo e roubem a prova de “maior de idade” para aceder a sites para adultos, vale a pena prender todo o sistema à autenticação baseada em hardware? Outros questionaram ainda por que razão a verificação de idade teria de ser necessariamente implementada como uma app nativa; com uma Web App moderna e a Digital Credentials API também se poderia obter o mesmo efeito.

As críticas não são infundadas. Um investigador de segurança testou e descobriu que, em dispositivos Android, basta editar um ficheiro de preferências em texto simples, eliminar as entradas do PIN encriptado, desligar o valor booleano de biometria e, em menos de 2 minutos, é possível redefinir o PIN da app, desativar o login por biometria e, ainda assim, as credenciais guardadas podem ser retiradas na íntegra; outro investigador reproduziu esta vulnerabilidade e registou mais problemas, incluindo o armazenamento de dados pessoais sem encriptação.

A exclusividade imposta também gerou desagrado. Os programadores apontam que utilizadores que não tenham instalada a software da Google ou da Apple e também as pessoas que usam sistemas “desgooglizados” (como GrapheneOS, e/OS) provavelmente ficarão automaticamente excluídos do serviço de identidade digital; o caso do Italian Wallet, no passado, por causa de uma falha na integração da Play Integrity, é repetidamente citado como lição anterior.

Cada país segue o seu caminho: Holanda e Itália aceitam tudo, a Suíça diz que não

A atitude dos governos não é uniforme. A Holanda e a Itália já adotaram incondicionalmente a Google Play Integrity; a Suíça, por sua vez, com base em considerações de proteção de dados, soberania de dados e liberdade de escolha do utilizador, optou pelos mecanismos de autenticação integrados no Android e abandonou diretamente a Play Integrity.

O lado dos fornecedores também veio apagar incêndios. O fornecedor da app de verificação de idade, Scytales, afirmou que a verificação de integridade da sua app de verificação de idade na UE não dependerá da Google nem da Apple. O campo de código aberto também propôs alternativas: “Unified Attestation”, lançada pela Volla Systeme GmbH, que aposta em tokens de integração de curta duração e validação offline, podendo coexistir com a Play Integrity. Parte das mensagens vê isto como uma solução de compromisso.

Várias pessoas que se dizem profissionais de segurança afirmaram na discussão que isto é um “pesadelo de privacidade e de cibersegurança”; há também vozes mais radicais que se opõem a qualquer verificação de idade online ou sistema de validação de identidade. Ainda assim, uma coisa é certa: o processo de definição da especificação das carteiras de identidade digital da UE é visto há muito tempo como um modelo global. Assim que a integração da Google Play Integrity for decidida, é provável que se torne um facto consumado que outros países vão usar como referência. Esta contestação, muito provavelmente, será apenas o começo.